حقائق أمن البيانات في أنظمة المعلومات متعددة الطبقات
حقائق أمن البيانات في أنظمة المعلومات متعددة الطبقات.. Data Security in N-tire architecture Information Systems
80% من ضياع وخسارة البيانات في الأنظمة المعلوماتية يعود إلى الأخطاء المرتكبة من قبل مستخدميها والعاملين عليها وليس كما يُعتقد، إلى قراصنة الكومبيوتر.
يعتبر تشفير البيانات Data Encryption من السبل المؤدية إلى أمنها. ولكن أمن البيانات يتطلب أيضاً: التحكم في عمليات النفاذ Access Control، الحفاظ على سلامة المعطيات Data Integrity, تأمين جاهزية النظام واستمرار عمله System Availability, تسجيل الأحداث Auditing.
لا يؤمن الجدار الناري Firewalls أمن البيانات في الأنظمة المعلوماتية، حيث 40% من الاختراقات على الانترنيت تمت بالرغم من وجوده.
القيمة الحقيقية لأنظمة المعلومات:
النظام المعلوماتي هو نظام خدمي يزود متخذي القرار بالبيانات والمعلومات اللازمة لعمليات التخطيط واتخاذ القرارات، وعلى بياناته ترتكز العديد من التطبيقات والخدمات الالكترونية (الحكومة الالكترونية).
تكمن القيمة الحقيقية للنظام المعلوماتي في كمال وشمولية ودقة وصحة وموثوقية البيانات التي يوفرها، وبالتالي لابد أن نكون على دراية تامة في معرفة وتحديد الأخطار المختلفة التي تهدد هذه النظم، ووضع السبل الكفيلة لحماية البيانات المتضمنة فيها.
نظم المعلومات في التطبيقات متعددة الطبقات:
تبنى نظم المعلومات الحديثة باعتماد تقنيات التطبيقات متعددة الطبقات N-tire architecture والمكونة بشكل أساسي من طبقة تكرس كمخدم لقاعدة البيانات Database Server، وطبقة تكرس كمخدم للتطبيقات Applications Server، وطبقة مستخدمين ينفذون إلى النظام المعلوماتي عن بعد ومن خلال متصفحات الإنترنيت على سبيل المثال Thin Clients، وطبقة من المستخدمين المحليين Clients.
لكل طبقة من هذه الطبقات البرمجيات الأساسية الخاصة بها والمتمثلة بـ: نظام التشغيل ومحرك قاعدة المعطيات ومشغل التطبيقات أو مايدعى بحاويات التطبيقات. إضافة إلى البرمجيات التطبيقية الخاصة بالنظام المعلوماتي. من الممكن أن تتوضع هذه الطبقات ضمن مخدم واحد أو أن تتوزع على عدد من المخدمات كما هو موضح في الشكل المرفق.
أمن و سلامة البيانات:
إن أمن وسلامة البيانات في مثل هذه الأنظمة معقدة البنية يتطلب أن يؤخذ بعين الاعتبار على مستوى كل طبقة من هذه الطبقات وعلى مستوى قنوات الاتصال مابين هذه الطبقات (المختلفة من حيث النوع وبروتكولات الاتصال)، وأيضاً على مستوى كل من البرمجيات الأساسية والتطبيقية الخاصة بكل طبقة.
فللوصول إلى نظام معلوماتي آمن يضمن أمن وسلامة البيانات المتضمنة فيه لابد من تصنيف ومعالجة القضايا الأمنية المتعلقة به من خلال عدد من المحاور أهمها:
محور أمن الموقع والبيئة المحيطية للنظام المعلوماتي.
محور أمن ووثوقية العاملين على إدارة النظام المعلوماتي.
محور أمن التجهيزات الشبكية واستخدام ما توفره من طرق وأساليب حماية.
محور أمن نقل البيانات والمعلومات من خلال قنوات اتصال.
محور أمن أنظمة التشغيل.
محور أمن قواعد البيانات.
محور أمن مخدمات التطبيقات.
محور أمن البرمجيات التطبيقية.
التهديدات الأمنية المحيطة بأمن البيانات:
تكمن التهديدات الأمنية المحيطة بأمن وسلامة البيانات في نظم المعلومات في: ولوج المستخدمين الغرباء إلى النظام؛ مصادر التنصت المختلفة على شبكة وقنوات الاتصال الخاصة بهذه الأنظمة؛ الأخطاء المرتكبة من قبل المستثمرين الحقيقيين لهذه الأنظمة. و تتمثل هذه التهديدات في:
تشويه المعطيات Data Tampering:
تتعرض البيانات والمعطيات أثناء انتقالها عبر قنوات الاتصال إلى ما يدعى بالهجوم السلبي Passive attack أو الهجوم النشيط Active attack. فخلال الهجوم السلبي يتم التنصت والمراقبة، أما خلال الهجوم النشيط فتتعرض البيانات إلى التشويه من خلال عمليات الحذف والتعديل عليها.
التنصت و سرقة المعطيات Eavesdropping and Data Theft:
سواء كان الاتصال عبر الانترنيت أو عن طريق الشبكة المحلية، فإن المعطيات تسلك طريقها عبر أسلاك أرضية أو عن طريق الاتصالات اللاسلكية، بالتالي فإن الشخص المتطفل الراغب في الحصول على هذه المعطيات بإمكانه أن يتنصت على المعطيات المرسلة التي ترسل عبر هذه الوسائط المختلفة، أو قد يتم تنصيب مُنصطات (Snifters) والتي تتنصت على حزم المعطيات المرسلة وتتمكن من قراءتها وسرقتها.
انتحال الشخصية Falsifying User Identities:
ويتمثل ذلك عن طريق ولوج مستخدم للنظام على أنه مستخدم آخر يمتلك صلاحيات معينة، فمثلاً كيف نستطيع معرفة أن الشخص X (والذي يمتلك صلاحيات معينة) الذي فتح قناة اتصال مع المُخدم من موقع A1 هو نفسه الشخص الحقيقي X الموجود في الموقع A2.
التهديدات المتعلقة بكلمات المرور Password-Related Threats:
في الأنظمة الضخمة، يكون على المستخدمين عادةً (وخاصة المطورين) تذكر العديد من كلمات المرور (كلمة المرور الخاصة بنظام التشغيل، كلمة المرور الخاصة بفتح اتصال مع قاعدة المعطيات، كلمة مرور مستخدم خاص لقاعدة المعطيات،...)
عادةً ما يواجه المستخدمون هذه المشكلة بمثل هذه الحلول: كتابة كلمات سهلة الحفظ (اسم، رقم هاتف، كلمة متواجدة في القاموس)، مما يسهل العثور على مثل هذه الكلمات؛ استخدام كلمة المرور نفسها في مختلف الحسابات، وقد يكون بعض هذه الحسابات سهل الاختراق، بالتالي يتم معرفة كافة كلمات المرور الخاصة بهذا المستخدم؛ كتابة كلمات سر معقدة، لكن تخزينها في مكان يسهل على المهاجم الوصول إليها، أو أن ينسى المستخدم هذه الكلمة. إنّ أياً من الحلول السابقة التي يقوم بها المستخدم يسهل العثور على كلمة المرور، وبالتالي اختراق النظام.
المتطلبات الأساسية لأمن البيانات:
تحدد المعايير الأساسية لأمن البيانات والتي من الواجب أن تتوفر في نظم المعلومات بالنقاط التالية:
السرية Confidentiality:
النظام الآمن هو النظام الذي يضمن سرية وخصوصية البيانات المخزنة فيه، وبالتالي إتاحة هذه البيانات فقط لأصحابها، إضافة إلى تأمين الطرق المناسبة لحمايتها من القراءة أثناء نقلها عبر شبكة الاتصال. يمكن تحقيق سرية نقل المعلومات من خلال تشفير الرسائل المتبادلة بمفاتيح معينة، ويحقق ذلك من خلال مجموعة من الطرق تقدم مستويات مختلفة من درجات الأمان وسرعة نقل المعلومات نذكر منها على سبيل المثال:
RC4 Encryption.
DES Encryption.
Triple-DES Encryption.
Advanced Encryption Standard.
ضمن هذا السياق لابد من التمييز مابين الاستيقان Authentication, والتخويل Authorization, والتحكم في النفاذ Access Control. يقصد بالاستيقان: الإجرائية التي يقر النظام بمقتضاها وصول المستخدم إلى المعلومات، وذلك بأن يقارن اسم المستخدم وكلمة سره بمحتوى قائمة المخولين، فإن كان هنالك تطابق، منح المستخدم حق النفاذ إلى الحد المحدد له في قائمة السماحيات. ويقصد بالتخويل الحق الممنوح لشخص ما بالنفاذ إلى النظام والمعطيات المخزنة فيه. أما التحكم في النفاذ فهو آليات الحد من النفاذ إلى بنود معينة من المعلومات.
التكاملية Integrity:
يؤمن النظام الآمن تكاملية البيانات المخزنة فيه، ويقصد بالتكاملية حماية البيانات من عمليات الحذف والتخريب. ويتم تأمين ذلك من خلال مجموعة من الأساليب توفرها نظم قواعد المعطيات كـ قوائم النفاذ والصلاحيات بالإضافة إلى علاقات الترابط Referential Integrity مابين البيانات المخزنة فيها. كما يؤمن النظام الآمن تكامل البيانات المرسلة لمعرفة فيما إن تم تعديل أو حذف أي جزء منها أو أنها غير مكررة، وتحقيق ذلك يمكن أن يتم من خلال توليد خلاصة (توقيعاً) للرسالة المرسلة، باستخدام بعض الخوارزميات، مثل خوارزمية MD5 أو خوارزمية SHA، وتضمين هذه الخلاصة مع كل رسالة ترسل عبر الشبكة، وبالتالي التأكد من أن الرسالة صحيحة ولم يتم العبث بها.
الاستمرارية Availability:
يؤمن النظام الآمن استمرارية وصول المستخدمين إلى المعطيات الخاصة بهم دون أي تأخير. وللاستمرارية عدد من السمات المتمثلة في: المقاومة Resistance وهي قدرة النظام على الحفاظ على نفسه من العمليات التي تجعله غير متاح للمستخدمين المخولين باستخدامه، (على سبيل المثال أن يكون النظام قادرأ على منع تنفيذ استعلامات تتطلب حجز حيز كبير من ذاكرة المخدم)؛ المقدرة على التوسع لسد الحاجات المستقبلية Scalability ؛ المرونة Flexibility والمتمثلة في توفر الامكانيات والأدوات التي تمكن من إدارة النظام دون أن يستدعي ذلك إلى توقفه؛ وسهولة الاستخدام Ease of Use.
استعرض هذا المقال بشكل عام المفاهيم الأساسية لأهمية أمن البيانات في نظم المعلومات المبنية ضمن بيئات العمل متعددة الطبقات والتهديدات الأمنية المحيطة بها، والمتطلبات الأمنية الأساسية لتحقيق أمن وسلامة بياناتها.
حقائق أمن البيانات في أنظمة المعلومات متعددة الطبقات 
العرض العادي
